要約

  • LACNIC 46の講演は 37.148.92.0/24 を例に、起点と最初の上流の見え方がほぼ変わらない一方、AS49666が15:26 UTCにAS6762を外してAS198150へ切り替えたと示した。
  • 処理されたBGP UPDATEは1,025件。件数だけでは経路の変化を説明できず、スライドにも例の年と観測元の全一覧がない。

1,025件という数字が答えない問い

BGP UPDATEが1,025件。正確な数字ではあるが、どの経路がどう変わったかはまだ分からない。メッセージ数は観測された通信量を示す。運用者が知りたいのは、ネットワークがどの経路を選び、その選択がいつ変わったかだ。

Doug MadoryはLACNIC 46の講演で 37.148.92.0/24 を使い、両者の違いを見せた。起点のビューにも、最初のトランジットのビューにも大きな変化はない。さらに先をたどると、AS49666は通常二つの上流を持つが、15:26 UTCを境に表示上のAS6762が消え、AS198150に置き換わる。スライドは処理したUPDATEを1,025件と記すが、分析の中心は数ではなく経路状態の移り変わりだ。

メッセージを合算すると、短い揺れと経路を変える出来事が同じ箱に入る。経路の状態を時系列で比べれば、どこが変わり、どの観測点がそれを見たかを確かめられる。

更新メッセージと選ばれた経路

BGPのUPDATEは到達可能な宛先を知らせ、使えなくなった経路を撤回する。各ネットワークは受け取った情報と自分のポリシーから経路を選ぶ。メッセージ数だけでは、あるASが最終的に何を選んだかは分からない。RFC 4271 はUPDATEと経路選択を定義する。分析では、各時点の経路状態を別に追う必要がある。

講演の枠組みは三つの問いに整理できる。変化の範囲、継続時間、関係したネットワークだ。何か所で見えたのか。いつ始まり、いつ終わったのか。どのASが経路に加わったのか。これらは、変化前後を比較し、実際に切り替わった経路の区間を特定して初めて答えられる。

すべてのAS間リンクを図示すれば読めない。観測元を絞れば図は簡潔になるが、視点を失う。講演のスライドは、BGP観測元の約1%を可視性の目安にして、見えにくいリンクを間引く例を示す。閾値を下げれば情報とノイズが増え、上げれば少数の観測点だけが見た実在の経路が消えることがある。

したがって、どの観測元を使い、どの閾値で経路を描いたかも結果の一部だ。採用したソース、表示条件、少数のコレクターしか見なかった変化の扱いを説明しない図は、何を省いたかを読者に知らせない。

起点が静かでも途中で変わる

この例の価値は、起点と最初のトランジットだけでは結論が出ない点にある。二つのビューに目立つ動きがなくても、その先でAS6762がAS198150へ置き換わった。起点や最初の隣接ネットワークで分析を止めれば、講演が示した変化を見落とす。

公開スライドが示すのは制御プレーンの経路ビューだ。トラフィック量、パケットの配送、アプリケーションの状態は資料に出てこない。サービスへの影響を説明するには別の観測が要る。経路の変化とユーザー側の結果を混ぜずに記録すれば、どこまで分かったかが明瞭になる。

運用チームの注意は有限だ。大きなUPDATE件数はアラートの列を押し上げる。件数が少なくても、顧客ネットワークやトランジット関係、サービスのプレフィックスに関わる切り替えなら調査が必要になる。優先順位はメッセージの多さではなく、説明できる経路状態の変化で決めたい。

スライドは例をUTC 14時から16時の「9月8日」とするが、年とコレクターの全一覧を載せていない；日付入りのデータとソース一覧があれば、15:26の切り替えを再現し、継続時間も測れる。LACNICの公式議事記録と講演の原資料には、そこで示された内容が残っている。

「UPDATEが1,025件」は観測の忙しさを示す。「AS49666が15:26に上流を切り替えた」は、次に確かめる経路を示す。